IDR インテグレーションガイド🔗

Taegis™ IDR がテナントで有効になっている場合は、Taegis Menu から Identity を選択して、Microsoft Entra ID またはオンプレミス Active Directory (AD) とのインテグレーションの設定を開始します。

Microsoft Entra ID🔗

セットアッププロセスでは、Azure の Sophos Master Application を使用して、必要なアプリケーションを自動的に作成し、お客様の Azure テナント内で必要な権限を付与します。

前提条件🔗

Identity モジュールが有効な XDR へのアクセス
XDR の Tenant Administrator ロール
テナント全体の管理者同意を付与する権限を持つ Entra ID 管理者ロール
Microsoft Entra ID P1 以上のライセンス

Microsoft Entra ID インテグレーションを設定する🔗

Taegis Menu から Identity に移動します。
Identity Settings ページには、2 つのインテグレーションカードが表示されます。
- クラウドベースの ID 監視用の Microsoft Entra ID
- オンプレミス AD 環境用の On-Premise Active Directory
Microsoft Entra ID カードで Set Up をクリックします。

Set Up をクリック
インテグレーションの名前を入力し、Next をクリックします。

インテグレーションに名前を付ける
Authorize をクリックして、Microsoft の ID プロバイダーにリダイレクトします。

Authorize をクリック
メッセージが表示されたら、Entra ID テナントとのインテグレーションに対して組織全体の同意を付与できるユーザーアカウントでサインインします。次に、一覧表示された権限を承認して、IDR に Entra ID へのアクセスを許可します。詳細については、Microsoft のドキュメントを参照してください。
セットアップが完了したら、Close をクリックします。

インテグレーションの認可を再試行する🔗

Admin Consent プロセスが、アプリケーションが見つからなかったことを示すエラーで失敗した場合、通常は Microsoft のレプリケーション遅延が原因です。セットアップを完了するには、次の手順を使用します。

サービスプリンシパルが Microsoft のインフラストラクチャ全体にレプリケートされるまで、15～30 分 待ちます。待機中も他の作業を続けることができます。
Identity > Settings に移動します。
Actions 列の省略記号アイコンをクリックし、Grant Admin Consent を選択します。これにより、認可を完了するために Microsoft の ID プロバイダーにリダイレクトされます。

Grant Admin Consent をクリック
メッセージが表示されたら、Entra ID テナントに対して組織全体の同意を付与できるアカウントでサインインします。一覧表示された権限を承認して、IDR に Entra ID へのアクセスを許可します。詳細については、Microsoft のドキュメントを参照してください。
同意を付与した後、Refresh アイコンをクリックして、インテグレーションを再プロビジョニングします。

インテグレーションを再プロビジョニングする

ヒント

プロビジョニングは最大 60 分間、自動的に再試行されます。インテグレーションを開始してから 60 分以上経過した場合にのみ、Refresh をクリックしてください。

オンプレミス Active Directory🔗

オンプレミス Active Directory インテグレーションでは、Sophos ITDR センサーを展開して、オンプレミス AD 環境に ID セキュリティ監視を拡張できます。ITDR センサーは現在、英語のみ をサポートしています。

注意

オンプレミス AD インテグレーションは、Microsoft Entra ID インテグレーションなしで個別に展開できます。Entra ID なしで使用する場合、可視性と体制評価はオンプレミス AD 環境のみに制限されます。

前提条件🔗

Identity モジュールが有効な XDR へのアクセス。
XDR の Tenant Administrator ロール。
サポート対象の Windows Server バージョン (2016～2025) で実行され、Microsoft .NET Framework 4.8 がインストールされている Active Directory サーバー。
CORP.LOCAL や CHILD.CORP.LOCAL などの AD ドメイン名に関する知識。
AD の読み取り専用サービスアカウント。
ファイアウォールがデフォルトでブロックする場合は、これらのドメインへのアウトバウンドファイアウォールアクセスを有効にすること。

オンプレミス Active Directory インテグレーションを設定する🔗

オンプレミス AD インテグレーションを設定するには、次の手順を実行します。

Taegis Menu から Identity に移動します。
Identity Settings ページには、2 つのインテグレーションカードが表示されます。
- クラウドベースの ID 監視用の Microsoft Entra ID
- オンプレミス AD 環境用の On-Premise Active Directory
On-Premise Active Directory カードで Set Up をクリックします。

On-Premise Active Directory セットアップカード

ヒント

このカードには、セットアップ前に必要に応じて ITDR Sensor をダウンロードしたり、ドキュメントを開いたりするためのリンクも表示されます。

On-Premise Active Directory で、次のフィールドに入力してから Next をクリックします。

Field	Description	Example
Name the directory service	このインテグレーションのわかりやすい表示名	`Production AD`
Active Directory domains to monitor	監視する AD ドメイン名のカンマ区切りリスト	`CORP.LOCAL, CHILD.CORP.LOCAL`

重要

Next をクリックすると、Client ID と Client Secret が自動的に生成されます。このプロセスには数分かかる場合があります。

認証情報が生成されると、API Credential Summary に次の内容が表示されます。
- Name: 入力した表示名。
- Domains: 指定した AD ドメイン。
- Client ID: ITDR センサー用に自動生成された識別子。
- Client Secret: ITDR センサー用に自動生成されたシークレット。
API Credential Summary

重要

Client Secret は 1 回だけ表示されます。このダイアログを閉じる前に、必ずシークレットをコピーまたはダウンロードしてください。再取得はできません。認証情報の有効期限は 36 か月です。
Download client secret をクリックして認証情報をファイルとして保存するか、各フィールドの横にあるコピーアイコンをクリックして Client ID と Client Secret をクリップボードにコピーします。

ITDR センサーをダウンロードしてインストールする🔗

センサーをダウンロードしてインストールするには、次の手順を実行します。

Download ITDR Sensor をクリックして、センサーインストーラーをダウンロードします。
インストーラーを、オンプレミスネットワーク上でセンサーをホストする Windows Server に転送します。
そのサーバーでインストーラーを実行し、セットアップウィザードを進めます。

ITDR Sensor セットアップウィザード
メッセージが表示されたら、前のセクションで生成された Client ID と Client Secret を入力し、Next をクリックします。

Sophos 認証情報の入力
LDAP 設定を構成し、Next をクリックします。安全な通信のために LDAP over SSL を選択することを推奨します。

LDAP 設定
Service Account のユーザー名とパスワードを入力し、Next をクリックします。
監視に含める Domains を選択し、Next をクリックします。

ドメインの選択
AD Filters タブでは、必要なすべてのオブジェクトタイプが収集されるように、デフォルト設定を選択したままにして Next をクリックします。

AD Filters
Sync Schedule タブでは、適時に更新されるように、デフォルトの間隔を 1 hour のままにして Finish をクリックします。

Sync Schedule
ウィザードが完了すると、通信ステータスウィンドウが表示されます。Sync Now をクリックして、AD 環境の初回フル同期を実行します。

注意

初回同期には、AD 環境の規模に応じて数分かかる場合があります。以降の同期では、増分変更のみが送信されます。

インテグレーションを確認する🔗

ITDR センサーがインストールされて実行中になったら、次の手順でインテグレーションを確認します。

XDR の Identity Settings に戻ります。
新しいインテグレーションが Configured Integrations テーブルに次の詳細とともに表示されます。
- Type: On-Prem Active Directory
- Health: Healthy
- Status: Enabled (トグルがオン)
Health ステータスが Unhealthy と表示される場合は、次の点を確認します。
- ITDR センサーサービスがホストサーバー上で実行されていること。
- Client ID と Client Secret が正しく入力されていること。
- サーバーから Sophos クラウドサービスへのアウトバウンドネットワーク接続があること。

Sophos ITDR Active Directory Domains🔗

ITDR センサーを使用していて、ファイアウォールがデフォルトでアウトバウンドアクセスをブロックする場合は、アウトバウンド通信を有効にするために、次の事前署名付き S3 ドメインを許可する必要があります。

Ports

443 (HTTPS)
53 (DNS)

Domains

tf-presigned-url-eu-west-1-prod-*-bucket.s3.eu-west-1.amazonaws.com
tf-presigned-url-eu-central-1-prod-*-bucket.s3.eu-central-1.amazonaws.com
tf-presigned-url-us-east-2-prod-*-bucket.s3.us-east-2.amazonaws.com
tf-presigned-url-us-west-2-prod-*-bucket.s3.us-west-2.amazonaws.com
tf-presigned-url-ca-central-1-prod-*-bucket.s3.ca-central-1.amazonaws.com
tf-presigned-url-ap-southeast-2-prod-*-bucket.s3.ap-southeast-2.amazonaws.com
tf-presigned-url-ap-northeast-1-prod-*-bucket.s3.ap-northeast-1.amazonaws.com
tf-presigned-url-ap-south-1-prod-*-bucket.s3.ap-south-1.amazonaws.com
tf-presigned-url-sa-east-1-prod-*-bucket.s3.sa-east-1.amazonaws.com
tf-presigned-url-me-central-1-prod-*-bucket.s3.me-central-1.amazonaws.com

次のワイルドカードを許可します。

*.s3.eu-west-1.amazonaws.com
*.s3.eu-central-1.amazonaws.com
*.s3.us-east-2.amazonaws.com
*.s3.us-west-2.amazonaws.com
*.s3.ca-central-1.amazonaws.com
*.s3.ap-southeast-2.amazonaws.com
*.s3.ap-northeast-1.amazonaws.com
*.s3.ap-south-1.amazonaws.com
*.s3.sa-east-1.amazonaws.com
*.s3.me-central-1.amazonaws.com

自動化を設定する🔗

IDR でレスポンスアクションを使用する場合は、オンプレミス LDAP 自動化や ID の検出結果に対する自動レスポンスアクションなど、必要なアクション、プレイブック、コネクターを設定できます。

詳細および注意すべき重要なハイブリッド Microsoft Entra ID の動作については、Identity Response Actions を参照してください。